Traitement des données personnelles

1. Qui fait quoi

Le client est responsable de traitement : ce sont ses outils, ses comptes, et les données de ses propres visiteurs. Fillab est sous-traitant : elle accède à ces comptes pour les paramétrer, les mesurer et en tirer des analyses, sur les instructions du client.

Fillab ne crée aucun compte à sa place et n'héberge aucune de ses données. Tout est créé au nom de l'entreprise cliente, qui donne un accès délégué. Cet accès se retire à tout moment, et il se retire à la fin du contrat.

2. Quelles données, et pour combien de temps

Les données concernées sont celles que les outils du client collectent sur les visiteurs de son site : adresses de connexion, identifiants de mesure et de publicité, pages consultées, provenance, actions effectuées. Fillab les consulte dans les outils du client ; elle n'en constitue aucune copie et n'en extrait que des chiffres agrégés pour les rapports.

Le traitement dure le temps du contrat, et pas au-delà.

3. Sur quoi Fillab s'engage, parce que la loi l'impose

Ces obligations découlent de l'article 28 du règlement européen 2016/679. Elles s'appliquent dès qu'un accès est donné, qu'elles soient écrites ou non.

N'agir que sur instruction du client, et l'avertir si une instruction paraît contraire à la réglementation.
Garder ces données confidentielles et n'y donner accès à personne d'autre.
Aider le client à répondre à une personne qui exerce ses droits, dans un délai lui permettant de tenir le mois qui s'impose à lui.
L'aider en cas d'incident de sécurité, avec les informations dont Fillab dispose.
Tenir la liste des traitements effectués pour son compte, et la lui communiquer sur demande.
Lui fournir de quoi vérifier que tout ceci est respecté.

4. Aucun autre intervenant

Fillab ne fait appel à aucun sous-traitant ultérieur. Elle exécute la prestation personnellement et n'introduit aucun service tiers entre le client et ses données.

Les outils utilisés (mesure d'audience, régie publicitaire, fiche d'établissement) sont ceux du client, sous contrat direct entre lui et l'éditeur de l'outil. Les transferts de données que ces outils opèrent, y compris hors de l'Union européenne, relèvent de ce contrat-là, auquel Fillab n'est pas partie.

Si un intervenant devenait nécessaire, il serait proposé au client par écrit, avec trente jours de préavis, et il pourrait s'y opposer.

5. Comment les accès sont protégés

Un compte qui accède aux outils de plusieurs clients ouvre plusieurs portes à la fois. Il est donc protégé comme tel :

Authentification à deux facteurs sur les comptes par lesquels Fillab accède aux outils de ses clients.
Poste de travail chiffré.
Accès nominatif uniquement, par invitation à une adresse personnelle. Jamais de mot de passe partagé, jamais d'identifiants transmis par message.
Retrait des accès dans les quinze jours qui suivent la fin du contrat, ou immédiatement sur demande.

6. En cas d'incident

Si Fillab découvre une violation de données concernant un client, elle l'en informe dans les vingt-quatre heures, par courrier électronique et par téléphone. Elle lui indique ce qui s'est passé, ce qui est touché, et ce qui a été fait.

La déclaration à la Commission nationale de l'informatique et des libertés revient au client, en sa qualité de responsable de traitement, y compris lorsque l'incident vient de chez Fillab. Il en va de même de l'information des personnes concernées, si elle est requise.

7. À la fin du contrat

Fillab retire ses accès. Les données restent où elles sont : dans les comptes du client, qui en est propriétaire. Rien n'est exporté, rien n'est supprimé par Fillab, parce qu'elle ne détient rien.

Les documents de travail contenant des données du client (rapports, exports ponctuels demandés par lui) lui sont, à son choix, remis ou détruits. Sans instruction de sa part dans les trente jours, ils sont détruits.

8. Vérification

Le client peut faire vérifier le respect de cette annexe une fois par an, avec trente jours de préavis, pendant les heures ouvrables. Les frais en sont à sa charge, sauf si un manquement est constaté.

9. Contact

Pour toute question sur ce traitement : contact@fillab.fr. Les données que Fillab traite pour son propre compte, notamment celles de sa prospection, sont décrites sur la page Confidentialité.